Exchange Serverのゼロデイ脆弱性攻撃、ハンティング調査に学ぶ攻撃手口と対策

　2021年に観測された、Microsoft Exchange Serverのゼロデイ脆弱性を突いた不正利用。Microsoftは、この不正利用にはアクセスを確立して維持するためのWebShell作成やリモートコードの実行、エンドポイントセキュリティへの偵察などが行われていたことを2021年3月にブログで公開しており、今後も継続的な発生が懸念されている。

　それに先立つ2021年1月、同脆弱性に関する不信な活動を脅威インテリジェンスを活用して検知／対応を行うMDR（Managed Detection and Response）サービスを提供する専門家チームが検知していた。

　侵害を受けているかどうかを確かめるには、ファイル名だけでなく、侵害痕跡を適切に調査し、フォレンジック分析のために特定のアーティファクトを保存することも必要になる。本資料では、同MDRサービスチームが調査した脅威ハンティング調査結果を基に、Microsoft Exchange Serverの脆弱性を利用した侵害と攻撃手法、企業が確認すべき事項を解説しているので、参考にしてほしい。